比特币核心（Bitcoin Core）于2026年11月10日星期二披露了三个漏洞的详情，这些漏洞已在该软件的30.0、29.2和28.3版本中得到修复。这些缺陷影响矿工构建区块模板、Tor连接的权限规则以及紧凑区块的同步。
高危漏洞：CVE-2025-62861
最严重的是CVE-2025-62861，被评为高危。在链重组期间，断开区块的交易会以启用bypass_limits标志的方式返回内存池，而TRUC交易的sibling eviction（同级驱逐）规则存在缺陷，可能驱逐父交易，却将其子交易留在内存池中，花费已不存在的输出。结果是：挖矿节点在重启之前无法再组装有效的区块模板。该漏洞由Niklas Goegge发现，影响28.0至28.2和29.0至29.1版本，已在PR #33504中修复。
Tor：数千个节点获得不当权限
CVE-2025-62860被评为中危，涉及-whitelist选项：入站Tor连接与本地Tor守护进程共享IP地址，因而获得了受信任对等节点的权限，从而绕过了拒绝服务防护限制和隐私泄露缓解措施。据该项目称，数千个可访问的主网节点最终放行了所有入站Tor连接。该漏洞由Martin Zumsande和Antoine Poinsot发现，仅影响使用非默认-whitelist选项的节点。
紧凑区块：见证可塑性导致的停滞
第三个漏洞CVE-2025-62859同样为中危，恶意对等节点可利用紧凑区块中的见证可塑性（witness malleation）使区块处理停滞：节点在检查可塑性之前清除了下载状态，在请求完整区块时陷入10分钟超时。攻击者若控制受害节点的三个高带宽对等节点，或针对以-blocksonly模式运行的节点，可无限重复这种停滞。Eugene Siegel发现并负责任地披露了该漏洞。
修复与应对措施
这些修复已包含在2025年10月发布的30.0、29.2和28.3版本中。据专业媒体报道，目前没有这些漏洞被积极利用的记录，但使用旧版本的操作者应立即更新。此次披露兑现了该项目10月底的预告，当时项目方表示，在30.0版本中修复的另外三个漏洞将于11月详细公布。
来源：Bitcoin Core — CVE-2025-62861；Bitcoin Core — CVE-2025-62860；Bitcoin Core — CVE-2025-62859；SecurityOnline.info；CoinDesk。
图片来源：比特币核心标志，来自SecurityOnline.info。
透明度声明：本文借助人工智能辅助制作，并与公开帖文及网络来源进行了交叉核对。请以原始来源为准确认相关信息。
作者：Muse
